Betriebsrat muss bei Einführung eines Zeiterfassungssystems mitbestimmen

Ein Unternehmen führt eine digitale Zeiterfassung ein – doch darf es das ohne den Betriebsrat entscheiden? Eine aktuelle Entscheidung des Landesarbeitsgerichts (LAG) Schleswig-Holstein liefert hierzu klare Antworten. Das Gericht stellte fest, dass bei der Einführung eines Zeiterfassungssystems der Betriebsrat ein zwingendes Mitbestimmungsrecht hat. Arbeitgeber können diese Beteiligung nicht umgehen, selbst wenn die Einführung des Systems auf einer gesetzlichen Pflicht basiert. Für die Praxis bedeutet das: Digitalisierung im Unternehmen – etwa bei Arbeitszeiterfassung – geht nur gemeinsam mit dem Betriebsrat, nicht im Alleingang.

Weiterlesen

Österreichisches BVwG: Google reCAPTCHA nur mit Einwilligung zulässig

Rechtssicherheit für Webseitenbetreiber: Bundesverwaltungsgericht bestätigt datenschutzrechtliche Verantwortung bei reCAPTCHA-Einsatz

Das österreichische Bundesverwaltungsgericht (BVwG) hat mit Erkenntnis vom 13. September 2024 (GZ: W298 2274626-1) ein wegweisendes Urteil zur datenschutzrechtlichen Einbindung von Google reCAPTCHA auf Websites getroffen. Im Zentrum steht die Frage, ob der Dienst ohne vorherige Einwilligung eingesetzt werden darf – die Antwort des Gerichts: eindeutig nein.

Weiterlesen

HBDI-Bericht 2025: Datenschutzkonformer Einsatz von Microsoft 365 möglich

Hintergrund und Ausgangslage

Die Konferenz der Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hatte im November 2022 festgestellt, dass Verantwortliche den Nachweis eines datenschutzkonformen Betriebs von Microsoft 365 (M365) auf Basis des damaligen Microsoft-Vertrags (Datenschutznachtrag vom 15. September 2022, Data Protection Addendum, DPA) nicht führen konnten. Konkret bemängelte die DSK sieben Punkte, in denen der Microsoft-Datenschutznachtrag den Vorgaben von Art. 28 DSGVO für Auftragsverarbeiter nicht entsprach. Microsoft wies diese Kritik jedoch zurück und hielt die Beanstandungen für unbegründet.

Weiterlesen

Cloud Detection & Response 2025: Warum deutsche Unternehmen Alarmmüdigkeit riskieren

Der neue Global Cloud Detection and Response Report 2025 des US-Sicherheitsunternehmens Illumio zeigt: Trotz steigender Budgets und moderner Technologien kämpfen viele Unternehmen noch immer damit, Angriffe in ihren Cloud-Umgebungen rechtzeitig zu erkennen. Besonders deutsche IT-Abteilungen sind von einer wachsenden „Alarmflut“ betroffen.

Weiterlesen

Gesundheitsdaten im Arbeitsverhältnis: Was Arbeitgeber wissen dürfen – und was nicht

Wenn Beschäftigte länger krank sind, müssen Arbeitgeber prüfen, ob weiterhin ein Anspruch auf Lohnfortzahlung besteht. Doch welche Informationen dürfen sie dabei überhaupt einholen? Und wo sind die Grenzen des Datenschutzes?

Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) hat hierzu im Juli 2025 erstmals eine klare Orientierungshilfe veröffentlicht. Sie zeigt auf, wann die Verarbeitung von Gesundheitsdaten zulässig ist – und wann nicht.

Weiterlesen

EDSA koordiniert EU-weite Durchsetzungsaktion: Transparenzpflichten 2026 im Fokus

Brüssel, 14. Oktober 2025 – Der Europäische Datenschutzausschuss (EDSA, engl. European Data Protection Board, EDPB) hat in seiner Oktober-Plenarsitzung beschlossen, dass die fünfte koordinierte Durchsetzungsmaßnahme dem Thema Transparenz und Informationspflichten nach der Datenschutz-Grundverordnung (DSGVO) gewidmet wird. Konkret sollen Unternehmen EU-weit darauf überprüft werden, wie gut sie ihren Verpflichtungen nach Art. 12, 13 und 14 DSGVO nachkommen – also ob sie betroffene Personen verständlich und vollständig darüber informieren, wenn und wofür personenbezogene Daten verarbeitet werden. Dieses Recht auf Information der Bürgerinnen und Bürger ist ein zentrales Element der Transparenz im Datenschutz und ermöglicht es Menschen, mehr Kontrolle über ihre Daten auszuüben.

Weiterlesen

Schatten-IT: Versteckte Risiken für Datenschutz und IT-Sicherheit

Was ist Schatten-IT?

Unter Schatten-IT versteht man alle Hard- und Softwarelösungen, die in einem Unternehmen genutzt werden, ohne dass die IT-Abteilung oder die Geschäftsführung davon weiß oder diese freigegeben hat.

Weiterlesen

Schadensersatz für Kontrollverlust über Daten – 200 Euro für Datenschutzverstoß

Am 10. Juli 2025 hat das Oberlandesgericht (OLG) Düsseldorf im Verfahren 16 U 83/24 ein wichtiges Urteil zum immateriellen Schadensersatz nach der DSGVO gefällt. Im Mittelpunkt stand die Frage, ob bereits der Kontrollverlust über personenbezogene Daten einen Anspruch auf Schadensersatz begründen kann. Das Urteil reiht sich in eine Serie richtungsweisender Entscheidungen ein und verdeutlicht die wachsende Bedeutung eines wirksamen Datenschutzmanagements für Unternehmen.

Weiterlesen

Data Act ab 12. September 2025: Was das EU-Datengesetz für Unternehmen bedeutet

Seit dem 12. September 2025 gilt in der Europäischen Union der Data Act (auch „EU-Datengesetz“ genannt) in vollem Umfang. Diese neue EU-Datenverordnung (Regulation (EU) 2023/2854) markiert einen bedeutenden Schritt in der europäischen Digitalstrategie und soll den Zugang zu Daten erleichtern, faire Wettbewerbsbedingungen schaffen und die europäische Datenökonomie stärken. Konkret stellt sich für Unternehmen nun die Frage: Was ist der Data Act und welche Verpflichtungen ergeben sich daraus? In diesem Blogartikel geben wir einen umfassenden Überblick und zeigen auf, was Firmen jetzt beachten müssen.

Weiterlesen

BVwG-Urteil zum „Pay or OK“-Modell: DSGVO-Einwilligung auf dem Prüfstand

Einführung: Was ist das „Pay or OK“-Modell?

Das „Pay or OK“-Modell (auch Cookie-Paywall oder PUR-Abo-Modell genannt) konfrontiert Nutzer mit einer Wahl: entweder ein kostenpflichtiges Abo abschließen („pay“) oder der umfangreichen Datenverarbeitung zu Werbezwecken zustimmen („ok“). Im konkreten Fall der österreichischen Tageszeitung Der Standard bedeutet dies, dass Leser entweder ein werbefreies Abonnement für ca. 9,90 € pro Monat kaufen müssen oder dem Tracking durch hunderte Drittanbieter zustimmen, um Inhalte gratis zu lesen. Kritiker betonen, dass diese Alternative keine faire Wahl darstellt, da praktisch alle Nutzer die kostenlose, aber datenintensive Option wählen. Studien zeigen etwa, dass über 99 % der Nutzer bei solchen Bannern auf „OK“ klicken, obwohl nur 0,16 % bis 7 % tatsächlich getrackt werden wollen. Damit steht das Modell im Spannungsfeld zwischen digitaler Geschäftsfinanzierung und Datenschutz.

Weiterlesen